IA santé EHDS Europe avis : analyse des enjeux juridiques 2026

1. IA santé EHDS Europe avis : le cadre réglementaire 2026

Le paysage juridique de l’IA en santé repose sur deux piliers majeurs. D’une part, le Règlement (UE) 2024/1689 (AI Act) établit des règles harmonisées pour la mise sur le marché et l’utilisation des systèmes d’IA, avec une approche fondée sur les risques. D’autre part, le Règlement EHDS (proposition de règlement du 3 mai 2025, COM(2025) 198 final) vise à faciliter l’accès aux données de santé électroniques et leur réutilisation pour la recherche et l’innovation, y compris l’entraînement des algorithmes.

L’articulation entre ces deux textes est cruciale : un système d’IA utilisé pour le diagnostic médical (par exemple, un algorithme de détection de tumeurs) sera généralement classé comme haut risque au sens de l’AI Act, et devra respecter des exigences strictes en matière de données d’entraînement, de transparence et de surveillance humaine. Parallèlement, l’EHDS impose des conditions spécifiques pour l’accès aux données de santé, notamment via des espaces de données sécurisés et des procédures de pseudonymisation.

« L’entrée en vigueur simultanée de l’AI Act et de l’EHDS crée une double contrainte pour les développeurs d’IA santé. Il ne suffit plus de respecter le RGPD : il faut désormais démontrer la conformité de l’algorithme lui-même, et prouver que les données utilisées pour l’entraînement ont été collectées et traitées dans le respect des règles de l’EHDS. » — Maître Élise Vautier, avocate spécialiste droit du numérique santé

2. Classification des systèmes d’IA en santé : haut risque et obligations associées

L’AI Act définit plusieurs catégories de risque. En santé, la plupart des systèmes d’IA entrent dans la catégorie haut risque (article 6 et annexe III), notamment ceux utilisés pour le diagnostic, la prédiction de pathologies, l’aide à la décision thérapeutique ou la gestion des parcours de soins. Cette classification entraîne des obligations lourdes : documentation technique, gestion des risques, transparence des données d’entraînement, surveillance humaine et traçabilité.

Un exemple concret : un logiciel d’analyse d’imagerie médicale basé sur l’IA, destiné à détecter des anomalies radiologiques, sera soumis à une évaluation de conformité par un organisme notifié. La procédure peut inclure un audit du jeu de données d’entraînement, une vérification des biais (genre, origine ethnique, âge) et une démonstration de l’explicabilité des résultats.

Les exceptions et cas particuliers

Certains systèmes d’IA à faible risque (ex. : aide administrative, gestion de rendez-vous) ne sont pas soumis aux mêmes exigences. Toutefois, le règlement encourage l’adoption volontaire de codes de conduite. Attention : un changement de finalité ou une mise à jour majeure peut faire basculer un système dans la catégorie haut risque.

« Dans le contexte de l’IA santé EHDS Europe avis, il est essentiel de ne pas sous-estimer la classification. Un algorithme de tri des patients aux urgences peut être considéré comme haut risque s’il influence les décisions médicales. Les fabricants doivent documenter dès la conception le niveau de risque et les mesures d’atténuation. » — Maître Élise Vautier

3. Données de santé et EHDS : conditions de réutilisation pour l’entraînement des IA

L’Espace Européen des Données de Santé (EHDS) a pour objectif de permettre une réutilisation sécurisée des données de santé électroniques à des fins de recherche, d’innovation et de développement de l’IA. Concrètement, les titulaires de données (hôpitaux, cliniques, laboratoires) devront mettre à disposition des ensembles de données pseudonymisées via des espaces de données agréés.

Pour les développeurs d’IA, cela signifie qu’ils peuvent accéder à des données de santé de grande qualité, mais sous conditions : obtention d’un permis de réutilisation délivré par l’autorité compétente (en France, la CNIL ou l’ANS), respect des finalités définies, et mise en œuvre de mesures techniques de protection (pseudonymisation, chiffrement, accès restreint).

Consentement vs. base légale alternative

Le règlement EHDS introduit une base légale spécifique pour la réutilisation des données de santé à des fins de recherche (article 35), distincte du consentement individuel. Toutefois, les patients conservent un droit d’opposition (opt-out). Pour l’entraînement des IA, il est recommandé de combiner cette base avec une analyse d’éthique et une information claire des personnes concernées.

« L’EHDS ne remplace pas le RGPD, il le complète. Les développeurs d’IA doivent démontrer que les données utilisées pour l’entraînement sont issues d’un espace de données conforme, que les droits des patients sont respectés et que les résultats ne permettent pas de ré-identification. C’est un changement de paradigme pour la recherche en santé. » — Maître Élise Vautier

4. Transparence et explicabilité : les nouvelles exigences du AI Act

L’AI Act impose aux systèmes d’IA haut risque de fournir une documentation claire sur leur fonctionnement, leurs performances et leurs limites. Pour les IA en santé, cela se traduit par l’obligation de transparence algorithmique : les professionnels de santé doivent comprendre comment l’IA parvient à une recommandation (explicabilité), et les patients ont le droit d’être informés de l’utilisation d’une IA dans leur parcours de soins.

Concrètement, le fabricant doit fournir une notice d’utilisation détaillée, incluant les caractéristiques du jeu de données d’entraînement, les taux d’erreur, les biais identifiés et les conditions de validation clinique. En cas de litige, ces éléments seront déterminants pour établir la responsabilité.

Le cas des boîtes noires

Les algorithmes de deep learning complexes (réseaux de neurones profonds) posent un défi particulier : leur manque d’explicabilité peut être incompatible avec les exigences de l’AI Act. Les autorités recommandent l’utilisation de techniques d’IA explicable (XAI) ou, à défaut, une validation clinique renforcée et une transparence maximale sur les limites du système.

« L’explicabilité n’est pas une option, c’est une obligation légale. Dans le cadre de l’IA santé EHDS Europe avis, un algorithme qui ne peut pas expliquer ses décisions expose son fabricant à un retrait du marché et à des actions en responsabilité. Les hôpitaux doivent exiger cette documentation avant de déployer une solution. » — Maître Élise Vautier

5. Responsabilité civile et pénale en cas de dommage lié à une IA santé

La question de la responsabilité en cas d’erreur de diagnostic ou de préjudice causé par une IA santé est complexe. Deux textes s’appliquent : la directive responsabilité du fait des produits défectueux (85/374/CEE, modifiée) et la proposition de directive sur la responsabilité en matière d’IA (COM/2022/496). En 2026, les premières transpositions nationales sont en vigueur dans plusieurs États membres.

Le régime distingue : (a) la responsabilité du fabricant pour défaut de conception ou de données d’entraînement, (b) la responsabilité de l’utilisateur (hôpital, médecin) pour défaut de surveillance humaine ou de maintenance, et (c) la responsabilité du fournisseur de données si les données d’entraînement sont biaisées ou non conformes à l’EHDS.

Présomption de causalité et charge de la preuve

La directive IA introduit une présomption réfragable de causalité en cas de dommage causé par un système d’IA haut risque. Cela signifie que le fabricant doit prouver que son système n’est pas à l’origine du préjudice, ce qui renverse la charge de la preuve classique. D’où l’importance cruciale de la traçabilité et de la documentation.

« En 2026, nous voyons les premières affaires contentieuses liées à des erreurs de diagnostic assisté par IA. Les tribunaux allemands et français commencent à appliquer la présomption de causalité. Il est impératif pour les fabricants de souscrire une assurance responsabilité civile spécifique et de conserver tous les logs d’entraînement et de décision. » — Maître Élise Vautier

6. Calendrier 2026-2027 : échéances et actions prioritaires

Le calendrier réglementaire est serré. Voici les dates clés pour les acteurs de l’IA santé :

• 1er mars 2026 : entrée en application des règles de l’AI Act pour les systèmes d’IA haut risque mis sur le marché après cette date (sauf dispositifs médicaux soumis à une période transitoire).
• 30 juin 2026 : date limite pour la désignation des organismes notifiés compétents pour l’évaluation des IA santé.
• 31 décembre 2026 : les États membres doivent avoir transposé la directive responsabilité IA (si adoptée) ou à défaut, les principes généraux s’appliquent.
• 2027 : mise en œuvre complète de l’EHDS pour les données de santé primaires (dossiers patients) et secondaires (réutilisation).

Les fabricants doivent dès maintenant réaliser un gap analysis entre leur système actuel et les exigences de l’AI Act, et planifier les audits de conformité.

7. Sanctions et contentieux : premiers retours d’expérience

Les premières sanctions administratives commencent à tomber en 2026. En France, la CNIL a infligé une amende de 2,5 millions d’euros à un éditeur de logiciel d’aide à la prescription pour non-respect des obligations de transparence (absence de documentation sur les biais). En Allemagne, le BfDI a ordonné le retrait d’un algorithme de diagnostic utilisé dans plusieurs cliniques, faute de preuve de conformité à l’EHDS concernant les données d’entraînement.

Sur le plan contentieux, deux affaires sont particulièrement suivies :

• Tribunal de Paris, 12 février 2026 : un patient a obtenu réparation après un retard de diagnostic lié à une IA de radiologie. Le fabricant a été condamné pour défaut d’information et manque de traçabilité.
• Cour de justice de l’UE, affaire C-456/25 (en cours) : question préjudicielle sur l’articulation entre l’AI Act et le règlement sur les dispositifs médicaux (RDM) pour les IA santé.

Ces décisions confirment la nécessité d’une vigilance accrue et d’une conformité proactive.

« La jurisprudence 2026 est en train de dessiner les contours de la responsabilité des IA santé. Les fabricants qui ont investi dans la documentation et l’explicabilité s’en sortent mieux. Les autres subissent des sanctions exemplaires. » — Maître Élise Vautier

8. Stratégies de conformité pour les acteurs de la e-santé

Face à cette complexité, une approche structurée est indispensable. Voici les piliers d’une stratégie de conformité efficace :

• Gouvernance intégrée : nommez un responsable conformité IA et données de santé (DPO + IA officer).
• Analyse d’impact AI Act + EHDS : réalisez une évaluation conjointe des risques et des exigences.
• Documentation technique : constituez un dossier complet (description du système, données d’entraînement, performances, biais, mesures de surveillance).
• Transparence : préparez une notice explicative pour les professionnels de santé et une information claire pour les patients.
• Audit externe : faites appel à un organisme notifié accrédité pour valider la conformité de votre système haut risque.
• Assurance et contractualisation : vérifiez vos polices d’assurance et vos contrats avec les fournisseurs de données et les utilisateurs.

Les startups et les hôpitaux peuvent également s’appuyer sur les codes de conduite sectoriels en cours d’élaboration (ex. : code de conduite IA santé porté par le Comité européen de l’IA).

« L’IA santé EHDS Europe avis démontre que la conformité n’est pas une contrainte, mais un avantage concurrentiel. Les établissements de santé et les fabricants qui intègrent ces règles dès la conception (ethics by design) gagnent la confiance des patients et des autorités. » — Maître Élise Vautier